WordPress & CSP Polisa Sigurnosti Sadržaja za WordPress Milan Petrović WordCamp Niš

Транскрипт

1 WordPress & CSP Polisa Sigurnosti Sadržaja za WordPress Milan Petrović WordCamp Niš

2 Predavanje, Google Docs:

3 HTTP Zaglavlja

4 Svaki HTTP odgovor počinje zaglavljima Zaglavlja opisuju stranu, sliku ili drugi tip resursa koje server šalje korisniku i sadrži tip sadržaja, veličinu, datum nastanka i modifikacije i druge informacije Zaglavlja mogu da sadrže i veliki broj drugih informacija, uključujući i informacije vezane za sigurnost kao što je Polisa Sigurnosti Sadržaja (CSP).

5 C S P Content Security Policy Polisa Sigurnosti Sadržaja

6 Set direktiva koje određuju koji sadržaj browser može da učita i izvrši

7 Set direktiva koje određuju koji sadržaj browser može da učita i izvrši Pomaže u smanivanju rizika od XSS (Cross Site Scripting) vrsta napada

8 Set direktiva koje određuju koji sadržaj browser može da učita i izvrši Pomaže u smanivanju rizika od XSS (Cross Site Scripting) vrsta napada CSP specifikacija uključuje i slanje izveštaja o prekršajima polise

9 Set direktiva koje određuju koji sadržaj browser može da učita i izvrši Pomaže u smanivanju rizika od XSS (Cross Site Scripting) vrsta napada CSP specifikacija uključuje i slanje izveštaja o prekršajima polise Može da se kombinuje sa drugim sigurnosnim HTTP zaglavljima

10 Set direktiva koje određuju koji sadržaj browser može da učita i izvrši Pomaže u smanivanju rizika od XSS (Cross Site Scripting) vrsta napada CSP specifikacija uključuje i slanje izveštaja o prekršajima polise Može da se kombinuje sa drugim sigurnosnim HTTP zaglavljima Svi moderni browseri podržavaju CSP, uključujući i mobilne browsere

11 Set direktiva koje određuju koji sadržaj browser može da učita i izvrši Pomaže u smanivanju rizika od XSS (Cross Site Scripting) vrsta napada CSP specifikacija uključuje i slanje izveštaja o prekršajima polise Može da se kombinuje sa drugim sigurnosnim HTTP zaglavljima Svi moderni browseri podržavaju CSP, uključujući i mobilne browsere Trenutno su upotrebi dve specifikacije: Level 1 i Level 2

12 Set direktiva koje određuju koji sadržaj browser može da učita i izvrši Pomaže u smanivanju rizika od XSS (Cross Site Scripting) vrsta napada CSP specifikacija uključuje i slanje izveštaja o prekršajima polise Može da se kombinuje sa drugim sigurnosnim HTTP zaglavljima Svi moderni browseri podržavaju CSP, uključujući i mobilne browsere Trenutno su upotrebi dve specifikacije: Level 1 i Level 2 Može da radi u report modu i samo da obaveštava o prekršajima

13 Spisak CSP Direktiva Šta sve može da se limitira korišćenjem CSP-a? Standardna: default-src JavaScript: script-src CSS: style-src Slike: img-src Fontovi: font-src Audio/Video: media-src Forme: form-src Frejmovi: frame-src, child-src i frame-ancestors Konekcije: connect-src Objekti: object-src MIME: plugin-types

14 Dodatne CSP direktive Šta još CSP može da uradi? upgrade-insecure-requests svi zahtevi koji idu na se automatski menjaju na block-all-mixed-content zabrani sve zahteve ako se strana izvršava na report-uri adresa na koju browser šalje izveštaje o prekršajima

15 Dozvoljene vrednosti direktiva Svaka direktiva može imati jednu ili više vrednosti. * none self data: blob: filesystem: https: subdomain.example.com *.example.com nonce-{value} sha256-{value} unsafe-inline unsafe-eval

16 Primer direktive script-src script-src 'self' 'unsafe-inline' cdn.ampproject.org ajax.googleapis.com fsd3dasddfgdsr3.cloudfront.net

17 Primer restriktivne početne polise Content-Security-Policy "default-src 'none'; script-src 'self' 'unsafe-inline'; connect-src 'self'; img-src 'self'; style-src 'self'; font-src 'self'; Report-uri

18 WordPress Zaštitite sajt CSP-om i drugim sigurnosnim zaglavljima

19 Preporuka je da sajt koristi SSL sertifikat i adresu.

20 Preporuka je da sajt koristi SSL sertifikat i adresu. CSP treba da se doda na server strani (konfiguracija za Apache, ngnix...) da bi se primenjivao na sve strane ali i fajlove koje server šalje korisniku.

21 Preporuka je da sajt koristi SSL sertifikat i adresu. CSP treba da se doda na server strani (konfiguracija za Apache, ngnix...) da bi se primenjivao na sve strane ali i fajlove koje server šalje korisniku. Za Apache, može u.htaccess fajl na nivou WordPress instalacije.

22 Preporuka je da sajt koristi SSL sertifikat i adresu. CSP treba da se doda na server strani (konfiguracija za Apache, ngnix...) da bi se primenjivao na sve strane ali i fajlove koje server šalje korisniku. Za Apache, može u.htaccess fajl na nivou WordPress instalacije. Mnogo CSS stilova i JavaScript koda se dodaje direktno u HTML, Zbog toga se mora koristiti unsafe-inline vrednost za neke direktive.

23 Preporuka je da sajt koristi SSL sertifikat i adresu. CSP treba da se doda na server strani (konfiguracija za Apache, ngnix...) da bi se primenjivao na sve strane ali i fajlove koje server šalje korisniku. Za Apache, može u.htaccess fajl na nivou WordPress instalacije. Mnogo CSS stilova i JavaScript koda se dodaje direktno u HTML, Zbog toga se mora koristiti unsafe-inline vrednost za neke direktive. WordPress-u treba centralizovani metod za dodavanje koda u HTML kako bi mogli da se generišu signurni blokovi koji sadrže nonce ili sha256 bazirane vrednosti za identifikaciju dodatog koda.

24 Da li je CSP neophodan? Ukratko: Da

25 CSP pomaže u zaštiti sajta i korisnika sajta.

26 CSP pomaže u zaštiti sajta i korisnika sajta. Korisnikov kompjuter može biti kompromitovan.

27 CSP pomaže u zaštiti sajta i korisnika sajta. Korisnikov kompjuter može biti kompromitovan. Ekstenzije za Chrome i Firefox mogu biti kompromitovane.

28 CSP pomaže u zaštiti sajta i korisnika sajta. Korisnikov kompjuter može biti kompromitovan. Ekstenzije za Chrome i Firefox mogu biti kompromitovane. Sajt može biti kompromitovan.

29 CSP pomaže u zaštiti sajta i korisnika sajta. Korisnikov kompjuter može biti kompromitovan. Ekstenzije za Chrome i Firefox mogu biti kompromitovane. Sajt može biti kompromitovan. Hosting kompanije mogu biti zlonamerne modifikovanjem vašeg sadržaja.

30 CSP pomaže u zaštiti sajta i korisnika sajta. Korisnikov kompjuter može biti kompromitovan. Ekstenzije za Chrome i Firefox mogu biti kompromitovane. Sajt može biti kompromitovan. Hosting kompanije mogu biti zlonamerne modifikovanjem vašeg sadržaja. Ekstenzije mogu biti zlonamerne i mogu da ubacuju svoj sadržaj.

31 Kako dodati CSP u WordPress sajt? Manuelno Pomoću plugin-a

32 Kako dodati CSP u WordPress sajt? Manuelno Pomoću plugin-a Više za iskusne server administratore Zahteva direktan pristup podešavanjima servera Češće modifikovanje konfiguracije servera

33 Kako dodati CSP u WordPress sajt? Manuelno Više za iskusne server administratore Zahteva direktan pristup podešavanjima servera Češće modifikovanje konfiguracije servera Pomoću plugin-a Jednostvanije za većinu WP korisnika Preglednija lista pravila u samom WP Lakše i brže testiranje

34 Kako dodati CSP u WordPress sajt? Manuelno Više za iskusne server administratore Zahteva direktan pristup podešavanjima servera Češće modifikovanje konfiguracije servera Pomoću plugin-a Jednostvanije za većinu WP korisnika Preglednija lista pravila u samom WP Lakše i brže testiranje Neophodna je analiza sadržaja kako bi se definisale vrednosti za direktive. No postoji pouzdan automatski metod generisanja potrebnih vrednosti. Kombinacija oba pristupa neophodna u slučaju korišćenja NGINX i IIS servera.

35 GD Security Headers

36 Podržana HTTP zaglavlja Content Security Policy X-XSS Protection X-Content-Type-Options Strict-Transport-Security Referrer-Policy X-Frame-Options Ostale Funkcije CSP i X-XSS-Protection Izveštaji o prekršajima Dodaje zaglavlja u HTACCESS Generiše zaglavlja za Apache, NGINX i IIS

37 CSP Podešavanja CSP Live ili Report mod Automatska pravila Dodatne direktive Eskperimentalne direktive Pravila za popularne servise Google Adsense, Google Fonts, Google Analytics, Google Maps, Google Translate

38 CSP Izveštaji i prekršajima koje browser-i šalju sajtu

39 HTTP zaglavlja za NGINX server. Plugin generiše zaglavlja za Apache i IIS.

40 Milan Petrović Dev4Press: Twitter: twitter.com/milangd WordPress.org: profiles.wordpress.org/gdragon/ part of WordPress community since 2008 premium plugins for your WordPress powered website professional development, consulting and training for WordPress & bbpress